Daten und Rechte

Die Frage

Wer ist verantwortlich für die personenbezogenen Daten, die Partner gemeinsam verarbeiten? Wem gehört, was sie gemeinsam schaffen? Und wie bleibt geheim, was geheim bleiben soll?

Kurz gesagt

Wer mit anderen gemeinsam über Zwecke und Mittel einer Datenverarbeitung entscheidet, ist mit ihnen gemeinsam verantwortlich und muss das regeln (Art. 26 DSGVO). Wer nur im Auftrag verarbeitet, ist Auftragsverarbeiter (Art. 28 DSGVO). Ein gemeinsam geschaffenes Werk gehört den Miturhebern gemeinsam, und keiner kann allein darüber verfügen (§ 8 UrhG). Geschäftsgeheimnisse schützt das Gesetz nur, wenn ihr Inhaber sie angemessen geschützt hat.

Die Rechtslage

Gemeinsame Verantwortlichkeit

Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel einer Verarbeitung fest, sind sie gemeinsam Verantwortliche (Art. 26 Abs. 1 DSGVO). Der Europäische Gerichtshof versteht das weit. Es genügt, dass jemand an der Entscheidung mitwirkt und aus der Verarbeitung einen eigenen Nutzen zieht; Zugriff auf die Daten muss er nicht haben (EuGH, Urteil vom 5. Juni 2018 – C-210/16, Wirtschaftsakademie; Urteil vom 29. Juli 2019 – C-40/17, Fashion ID).

In Kooperationen liegt das nahe: eine gemeinsame Veranstaltung mit gemeinsamer Anmeldung, eine geteilte Kontaktdatenbank, ein gemeinsames Forschungsprojekt. Die Partner müssen dann in einer Vereinbarung festlegen, wer welche Pflichten erfüllt, insbesondere gegenüber den betroffenen Personen. Deren wesentlicher Inhalt ist den Betroffenen zugänglich zu machen (Art. 26 Abs. 2 DSGVO). Die Betroffenen können ihre Rechte gegenüber jedem der Verantwortlichen geltend machen (Art. 26 Abs. 3 DSGVO).

Die Vereinbarung ist mehr als eine Formalie. Sie zwingt die Partner, sich über ihre gemeinsame Verarbeitung klar zu werden, und das ist oft das erste Mal, dass sie sich darüber verständigen, was sie eigentlich gemeinsam tun.

Auftragsverarbeitung

Verarbeitet jemand Daten nur im Auftrag und nach Weisung eines anderen, ist er Auftragsverarbeiter. Dann braucht es einen Vertrag mit den Inhalten des Art. 28 Abs. 3 DSGVO, der auch elektronisch geschlossen werden kann (Art. 28 Abs. 9 DSGVO). Typische Auftragsverarbeiter sind Anbieter von Hosting, Videogesprächen oder Cloud-Speicher.

Die Abgrenzung ist nicht immer leicht. Wer eine Leistung erbringt und dabei eigene Zwecke verfolgt, ist nicht mehr bloß Auftragsverarbeiter. Und oft sind die Partner einer Kooperation weder gemeinsam verantwortlich noch Auftragsverarbeiter füreinander, sondern jeder für seine eigene Verarbeitung allein verantwortlich.

Miturheberschaft und gemeinsame Ergebnisse

Haben mehrere ein Werk gemeinsam geschaffen, ohne dass sich ihre Anteile gesondert verwerten lassen, sind sie Miturheber (§ 8 Abs. 1 UrhG). Das Recht zur Veröffentlichung und Verwertung steht ihnen zur gesamten Hand zu, Änderungen brauchen die Einwilligung aller. Ein Miturheber darf seine Einwilligung aber nicht wider Treu und Glauben verweigern (§ 8 Abs. 2 UrhG). Die Erträge stehen den Miturhebern nach dem Umfang ihrer Mitwirkung zu, wenn sie nichts anderes vereinbart haben (§ 8 Abs. 3 UrhG). Lassen sich die Beiträge gesondert verwerten, etwa Text und Musik eines Liedes, liegen verbundene Werke vor (§ 9 UrhG).

Das Gesetz verbindet die Miturheber also zu einer kleinen Kooperation mit eingebauter Treuepflicht. Für eine Zusammenarbeit, die ihre Ergebnisse nutzen will, genügt das selten. Die Partner sollten vorab regeln, wer welche Nutzungsrechte erhält, ob Ergebnisse veröffentlicht werden, wer Schutzrechte anmeldet und was nach dem Ende der Kooperation gilt. Für gemeinsame Erfindungen gilt eine eigene Regel: Das Recht auf das Patent steht den Erfindern gemeinschaftlich zu (§ 6 Satz 2 PatG). Computerprogramme, die Arbeitnehmer in Wahrnehmung ihrer Aufgaben schaffen, darf vermögensrechtlich der Arbeitgeber nutzen (§ 69b UrhG).

An Daten selbst gibt es kein Eigentum. Wer auf welche Daten zugreifen darf, regelt der Vertrag. Für Daten vernetzter Produkte gibt der Data Act (VO (EU) 2023/2854) seit dem 12. September 2025 den Nutzern eigene Zugangsrechte.

Open-Source-Lizenzen als Kooperationsrecht

Freie Software und offene Inhalte zeigen, wie Lizenzen Kooperation unter Menschen ermöglichen, die einander nicht kennen. Das Urheberrecht erlaubt ausdrücklich, unentgeltlich ein einfaches Nutzungsrecht für jedermann einzuräumen (§ 32 Abs. 3 Satz 3 UrhG). Freizügige Lizenzen wie MIT oder Apache 2.0 erlauben fast jede Nutzung bei Nennung der Urheber. Lizenzen mit Copyleft wie die GNU GPL verlangen, dass Bearbeitungen unter denselben Bedingungen weitergegeben werden.

Das Copyleft ist eine Rechtsform der Gegenseitigkeit: Wer nimmt, gibt zurück, und der gemeinsame Bestand wächst. Für die eigene Kooperation lohnt die Frage, ob ihre Ergebnisse in diesem Sinn geteilt werden sollen. Wer Beiträge vieler annimmt, sollte außerdem klären, unter welcher Lizenz sie eingebracht werden.

Geschäftsgeheimnisse

Geschäftsgeheimnis ist nach § 2 Nr. 1 GeschGehG eine Information, die nicht allgemein bekannt und daher von wirtschaftlichem Wert ist, die Gegenstand angemessener Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber ist und an deren Geheimhaltung ein berechtigtes Interesse besteht. Die zweite Voraussetzung ist die entscheidende. Wer seine Informationen nicht schützt, verliert den Schutz des Gesetzes.

In einer Kooperation heißt das: Vertraulichkeitsvereinbarungen, Zugang nur für die, die ihn brauchen, Kennzeichnung vertraulicher Unterlagen und eine Regel für das Ende der Zusammenarbeit. Die Maßnahmen müssen angemessen sein, nicht perfekt. Was ein Partner aus einem frei erhältlichen Produkt durch Untersuchen oder Rückbauen erfährt, ist grundsätzlich erlaubt, wenn nichts anderes vereinbart ist (§ 3 Abs. 1 Nr. 2 GeschGehG).

Online

Wer online kooperiert, arbeitet in gemeinsamen Arbeitsräumen: geteilte Ordner, Dokumente, Tafeln, Kanäle. Dort treffen alle Fragen dieser Seite zusammen.

Wer verantwortlich ist. Für den Arbeitsraum ist meist verantwortlich, wer ihn einrichtet und über seinen Zweck entscheidet, bei gemeinsamer Einrichtung die Partner gemeinsam. Der Anbieter des Werkzeugs ist in der Regel Auftragsverarbeiter. Nutzt er die Daten für eigene Zwecke, wird er selbst verantwortlich.

Wer Zugang hat. Persönliche Konten, Rollen und Rechte nach Bedarf und ein geordnetes Ende, wenn jemand die Kooperation verlässt: Das ist zugleich Datensicherheit (Art. 32 DSGVO) und angemessene Geheimhaltung im Sinne des GeschGehG. Ein nicht entzogener Zugang ist eine offene Tür.

Wohin die Daten gehen. Werkzeuge von Drittanbietern verarbeiten Daten oft außerhalb der EU. Übermittlungen in Drittländer brauchen eine Grundlage nach Art. 44 ff. DSGVO, etwa einen Angemessenheitsbeschluss wie für zertifizierte Unternehmen in den USA oder Standardvertragsklauseln.

Was aufgezeichnet wird. Wer ein Videogespräch aufzeichnet, braucht die Einwilligung der Beteiligten. Das heimliche Aufnehmen des nichtöffentlich gesprochenen Wortes ist strafbar (§ 201 StGB).

Wem die Dokumente gehören. In gemeinsam bearbeiteten Dokumenten entstehen leicht Miturheberschaften. Eine Regel im Kooperationsvertrag oder eine offene Lizenz für den Arbeitsraum schafft Klarheit, bevor sie gebraucht wird.

In welchen Phasen

• Kontakt: Vertraulichkeit schon vor dem Vertrag.
• Vereinbarung: Rechte an Ergebnissen, Datenschutzvereinbarungen.
• Beginn: Arbeitsraum, Zugänge, Werkzeuge.
• Beendigung: Zugänge schließen, Daten und Rechte verteilen.

Weiterlesen: Der Kooperationsvertrag · Kooperative Klauseln · Gute Praxis der Zusammenarbeit online

Grenzen dieser Darstellung

Die Seite zeigt die Grundstrukturen. Datenschutz im Beschäftigungsverhältnis, Patentrecht, Arbeitnehmererfindungen und die Einzelheiten des Data Act sind nicht dargestellt.

Stand: 30. September 2026